Nun, der EUGH hat die Fragestellung am 21.12.2023 kurz vor Weihnachten noch entschieden. Mit der Entscheidung ist nun bindend, dass die Ermächtigung (also die Erlaubnis) zur Verarbeitung von Daten besonderer Kategorien (besonders sensibler Daten) grundlegend erstmal auf einer Regelung des Art. 6 und zuzüglich auf einer Regelung des Art. 9 (2) DS-GVO beruhen muss. Entscheidung: EuGH – C-667/21

Ab Randnummer 76 (Rn76) beantwortet der EUGH auch erneut, dass jede Verarbeitung von Daten besonderer Kategorien nur dann rechtmäßig ist, wenn sie sowohl die sich aus dieser Bestimmung ergebenden Anforderungen als auch die sich aus Art. 5 Abs. 1 und Art. 6 Abs. 1 dieser Verordnung ergebenden Pflichten einhält.

Unklar ist, wann dem letzten … klar wird, dass jede Verarbeitung sachlich unrichtiger und ein falsches Bild vermittelnder Daten generell rechtswidrig ist. Denn …

72   Mit seiner dritten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 9 Abs. 2 Buchst. h und Art. 6 Abs. 1 DSGVO dahin auszulegen sind, dass eine auf die erstgenannte Bestimmung gestützte Verarbeitung von Gesundheitsdaten nur dann rechtmäßig ist, wenn sie nicht nur die sich aus dieser Bestimmung ergebenden Anforderungen einhält, sondern auch mindestens eine der in Art. 6 Abs. 1 genannten Rechtmäßigkeitsvoraussetzungen erfüllt.

72      In diesem Zusammenhang ist darauf hinzuweisen, dass die Art. 5, 6 und 9 DSGVO in Kapitel II („Grundsätze“) dieser Verordnung stehen und die „Grundsätze für die Verarbeitung personenbezogener Daten“, die „Rechtmäßigkeit der Verarbeitung“ bzw. die „Verarbeitung besonderer Kategorien personenbezogener Daten“ betreffen.

73      Des Weiteren heißt es im 51. Erwägungsgrund der DSGVO ausdrücklich, dass „[z]usätzlich zu den speziellen Anforderungen“ an eine Verarbeitung „besonders sensibler Daten“, die in Art. 9 Abs. 2 und 3 DSGVO genannt werden, unbeschadet der eventuell von einem Mitgliedstaat auf der Grundlage von Art. 9 Abs. 4 erlassenen Maßnahmen auch für eine solche Verarbeitung „die allgemeinen Grundsätze und andere Bestimmungen dieser Verordnung, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung“, wie sie sich aus Art. 6 dieser Verordnung ergeben, gelten sollten.

74      Gemäß Art. 6 Abs. 1 Unterabs. 1 DSGVO ist eine Verarbeitung, die „besonders sensible“ Daten wie Gesundheitsdaten betrifft, nur dann rechtmäßig, wenn mindestens einer der in Abs. 1 Unterabs. 1 Buchst. a bis f genannten Bedingungen erfüllt ist.

75      Art. 6 Abs. 1 Unterabs. 1 DSGVO sieht eine erschöpfende und abschließende Liste der Fälle vor, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in dieser Bestimmung vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 90 und die dort angeführte Rechtsprechung).

76      Daher hat der Gerichtshof wiederholt entschieden, dass jede Verarbeitung personenbezogener Daten mit den in Art. 5 Abs. 1 DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und die in Art. 6 dieser Verordnung aufgeführten Voraussetzungen für die Rechtmäßigkeit der Verarbeitung erfüllen muss (Urteil vom 4. Mai 2023, Bundesrepublik Deutschland [Elektronisches Gerichtsfach], C‑60/22, EU:C:2023:373, Rn. 57 und die dort angeführte Rechtsprechung).

77      Überdies wurde bereits entschieden, dass, da die Art. 7 bis 11 DSGVO, die genau wie die Art. 5 und 6 dieser Verordnung in deren Kapitel II stehen, zum Ziel haben, den Umfang der dem Verantwortlichen nach Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 dieser Verordnung obliegenden Pflichten näher zu bestimmen, die Verarbeitung personenbezogener Daten, wie sich aus der Rechtsprechung des Gerichtshofs ergibt, zudem nur dann rechtmäßig ist, wenn sie diese anderen Bestimmungen des genannten Kapitels einhält, die im Wesentlichen die Einwilligung, die Verarbeitung besonderer Kategorien sensibler personenbezogener Daten und die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten betreffen (Urteil vom 4. Mai 2023, Bundesrepublik Deutschland [Elektronisches Gerichtsfach], C‑60/22, EU:C:2023:373, Rn. 58 und die dort angeführte Rechtsprechung).

78      Daraus folgt insbesondere, dass, da Art. 9 Abs. 2 Buchst. h DSGVO zum Zweck hat, den Umfang der Pflichten zu präzisieren, die dem Verantwortlichen nach Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 dieser Verordnung obliegen, eine auf Art. 9 Abs. 2 Buchst. h DSGVO gestützte Verarbeitung von Gesundheitsdaten nur dann rechtmäßig ist, wenn sie sowohl die sich aus dieser Bestimmung ergebenden Anforderungen als auch die sich aus Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 dieser Verordnung ergebenden Pflichten einhält und insbesondere eine der in Art. 6 Abs. 1 DSGVO genannten Rechtmäßigkeitsvoraussetzungen erfüllt.

79      Nach alledem ist auf die dritte Frage zu antworten, dass Art. 9 Abs. 2 Buchst. h und Art. 6 Abs. 1 DSGVO dahin auszulegen sind, dass eine auf die erstgenannte Bestimmung gestützte Verarbeitung von Gesundheitsdaten nur dann rechtmäßig ist, wenn sie nicht nur die sich aus dieser Bestimmung ergebenden Anforderungen einhält, sondern auch mindestens eine der in Art. 6 Abs. 1 genannten Rechtmäßigkeitsvoraussetzungen erfüllt.

https://curia.europa.eu/juris/document/document.jsf?text=&docid=280768&pageIndex=0&doclang=DE&mode=req&dir=&occ=first&part=1&cid=3332884